再遇CORS -- 自定义HTTP header的导致跨域

Posted

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了再遇CORS -- 自定义HTTP header的导致跨域相关的知识,希望对你有一定的参考价值。

指路牌
  • 后端配置好了跨域,但是前端在HTTP header添加token后,又产生跨域的问题
  • Flask、Vue(Axios)、跨域

适用场景

  • 前后端分离,想要使用token来管理登录状态,或调用后台接口

环境

  • 平台无关

参考博客

背景

出于多种考虑,放弃了使用类似WordPress这种现成博客解决方案,准备自己搭建一个博客系统,技术选型为:后端:Flask,前端:Vue。登录状态管理放弃cookie,采用token。开发进行到路由保护处时出现了CORS的问题,具体情形是Vue将从后台获取的token添加到HTTP请求的header中,调用相应接口时出现跨域。

在此次跨域出现前实际上已经在Flask通过flask_cors配置了跨域解决方案,因此跨域的产生是让我十分不解的,又由于问题比较奇特在搜索引擎中没有找到很好的解决方案(也可能是我不知道怎么描述,没有搜出来),因此自己重新研究可以一下跨域,又有了一些新收获。

分析

相信使用前后端分离的开发者在开发之初就会碰到跨域的问题,跨域的解决方案有很多种,我选择通过后台解决。

跨域是浏览器同源策略导致的问题,网上相关文章很多,此处不赘述。备注一点:postman不会产生跨域。

Flask解决跨域的方案非常简单,以下代码即可完成。

from flask_cors import CORS
CORS(app,supports_credentials=True

@app.after_request
def after_request(resp):
    resp = make_response(resp)
    resp.headers[‘Access-Control-Allow-Origin‘] = ‘http://127.0.0.1:8080‘
    resp.headers[‘Access-Control-Allow-Methods‘] = ‘GET,POST‘
    resp.headers[‘Access-Control-Allow-Headers‘] = ‘x-requested-with,content-type‘
    return resp

配置完成后,一直也没有没有出过问题,因此也就没有去进一步了解其配置的含义,直到这一次被卡住,让我不得不去了解一下跨域我究竟配置了什么东西?

其实这个问题的关键点就在于那三条配置:Access-Control-Allow-OriginAccess-Control-Allow-MethodsAccess-Control-Allow-Headers.
他们到底代表什么含义?

首先Access-Control-Allow-Origin,字面上的意思,配置这个可以允许相应的源来访问后台资源,网上大多在此处的写的是*,也即允许所有源,这样很不安全,由于我此处是本地开发阶段,Vue的启动端口是8080,所以我写的是http://127.0.0.1:8080,根据你的开发需要改成自己需要的三元组即可。

其次Access-Control-Allow-Methods,也是字面上的意思,允许用的HTTP的Method有哪些,GET,POST是最常见的,此处只写了两个,如果你需要使用其他Method,在这里要写进来,否则也会会出现跨域问题。

以上两个配置都没有问题,问题在了最后一部分:

Access-Control-Allow-Headers,和上面两个一样,字面的意思,之所以是她出问题了,是因为我们在前端给HTTP请求添加了一个自定义的字段token,而这不在许可范围内(许可的只有x-requested-withcontent-type ),因此被判定为了不符合同源策略的非法请求,所以我们只需要将自定义的header添加进去即可。答案已经出来了。

继续挖一下,这个字段的两个含义分别还是什么?x-requested-with,content-type.

x-requested-with是一个用来判断客户端请求是否由Ajax发起的,所以和Axios有什么关系?答案是:没有关系...可以直接删了。贴上这段代码的人或者是默认了发起请求使用的是Ajax,又或者没有分析字段含义,所以很直接贴了这段代码,但是对于使用Axios的开发者来说,这个字段不是必然的。

content-type: 指明POST请求的数据格式以及编码方式。数据格式最常见的莫过于josn,其形式如下:application/json在后端打印出POST请求的HTTP Header,就会发现有下面这条和数据。

Content-Type: application/json;charset=UTF-8

解决方案

Access-Control-Allow-Headers中添加上自定义的header名称,整体如下:

from flask_cors import CORS
CORS(app,supports_credentials=True

@app.after_request
def after_request(resp):
    resp = make_response(resp)
    resp.headers[‘Access-Control-Allow-Origin‘] = ‘http://127.0.0.1:8080‘
    resp.headers[‘Access-Control-Allow-Methods‘] = ‘GET,POST‘
    resp.headers[‘Access-Control-Allow-Headers‘] = ‘content-type,token‘
    return resp

其实直接删掉Access-Control-Allow-Headers这条配置,也能解决问题,但是枚举出所有固定情形当然是更安全的。

####
要获取更多Haytham原创文章,请关注公众号"许聚龙":
技术图片

以上是关于再遇CORS -- 自定义HTTP header的导致跨域的主要内容,如果未能解决你的问题,请参考以下文章

Axios 未在请求中发送自定义标头(可能是 CORS 问题)

JQuery、CORS 和自定义响应标头

cors跨域资源共享---解决前后端跨域问题

django-cors-headers

自定义配置导致的奇怪 CORS 问题

获取 API、自定义请求标头、CORS 和跨域重定向